Katalog podatności CVE

Podatność SQL injection w systemie SLiMS Bulian 9.8.0 wynika z wstrzykiwania identyfikatorów przez parametry POST tableName i tableFields w endpointach AJAX panelu administracyjnego. Uwierzytelniony użytkownik personelu może dzięki temu wyodrębnić dowolną zawartość bazy danych.

FlyCms do commita edfdf724 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp superadministratora za pomocą konta flycms z hasłem admin123. Atakujący mogą zalogować się przez POST /api/auth/login, rozwiązując jedynie captchę obrazkową, i uzyskać pełną kontrolę nad treścią, użytkownikami i konfiguracją witryny.

CheckCle do wersji 1.6.0 zawiera podatność związaną z brakiem autoryzacji, która pozwala nieuwierzytelnionym atakującym odczytywać, modyfikować i usuwać rekordy, ponieważ dostarczane kolekcje PocketBase używają pustych reguł API. Atakujący mogą odpytywać endpointy /api/collections/<name>/records, aby wykradać wartości server_token i sekrety alert_configurations, wyłączać alerty, zmieniać strony statusu lub usuwać dane monitoringu.

Podatność deserializacji niezaufanych danych w Apache Camel dotyczy komponentu camel-hazelcast. Dwie ścieżki konfiguracji (ReplicatedHazelcastAggregationRepository oraz tryb klienta w HazelcastDefaultComponent) nie stosują filtra JavaSerializationFilterConfig, co pozwala atakującemu na zdalne wykonanie kodu poprzez wstrzyknięcie złośliwego obiektu Java do klastra Hazelcast.

W Apache Johnzon występuje podatność Unsafe Reflection — ClassConverter ładuje i statycznie inicjalizuje klasę wskazaną przez atakującego na podstawie niezaufanego JSON. Problem dotyczy wersji od 1.0.0 przed 2.2.0.

W Apache Answer do wersji 2.0.2 występuje brak uwierzytelniania dla krytycznej funkcji. API reakcji nie egzekwowało kontroli widoczności treści, umożliwiając nieuprawnionym użytkownikom odczyt metadanych reakcji z ograniczonych treści oraz dodawanie i usuwanie własnych reakcji.

Wtyczka MapSVG (mapy wektorowe dla WordPress) do wersji 8.16.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to atakującemu przesłanie i uruchomienie webshella na serwerze WWW.

Wtyczka HivePress do wersji 1.7.32 zawiera podatność typu code injection wynikającą z niewłaściwej kontroli generowania kodu. Umożliwia to zdalne włączenie kodu do aplikacji.

Podatność w Apache Kylin obejmująca brak uwierzytelniania dla wewnętrznego broadcastu oraz niebezpieczną deserializację polimorficzną. Problem dotyczy wersji od 4.0.0 do 5.0.4 i wpływa głównie na usługi wystawione bezpośrednio do sieci publicznej.

W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.8 występuje brak autoryzacji (CWE-862) oraz niezabezpieczona domyślna konfiguracja (CWE-1188) w proxy MCP i przepływie rejestracji OIDC. Publiczne udostępnienie konfiguracji OIDC przez GET /info oraz automatyczna rejestracja każdego posiadacza ważnego tokenu OIDC przez POST /register, bez filtrowania roszczeń i sprawdzania banów, pozwalają zdalnemu atakującemu na samodzielne włączenie się do mesh i wywoływanie dowolnych narzędzi na wszystkich podłączonych węzłach backendu MCP.

W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.2 występuje brak uwierzytelniania dla funkcji krytycznej (CWE-306) oraz brak autoryzacji (CWE-862) w serwerze ingress /libp2p-http. Nieuwierzytelniony zdalny peer libp2p może ominąć egzekwowanie polityki uprawnień Biscuit i wywołać dowolne zarejestrowane usługi backendu, w tym serwery MCP oparte na poleceniach/stdio, A2A i punkty inferencji.

W procesie GeoWebServer.exe występuje podatność związana z domyślnymi portami połączeń serwera webowego.

Konsola zarządzania nieprawidłowo waliduje dane wejściowe związane z konfiguracją magazynów użytkowników JDBC. Słabość ta pozwala atakującemu dostarczyć specjalnie spreparowane dane wejściowe, które mogą prowadzić do wykonania dowolnego kodu na dotkniętym serwerze. Skuteczne wykorzystanie umożliwia atakującemu wykonanie dowolnego kodu z uprawnieniami produktu WSO2, co może doprowadzić do pełnego przejęcia systemu.

W jądrze Linux naprawiono podatność w stosie TCP dotyczącą łączenia (collapse) skb w kolejce retransmisji. Funkcja tcp_write_collapse_fence() nie działała, gdy kolejka zapisu była pusta, co pozwalało na scalenie skb wysłanych po włączeniu szyfrowania urządzenia z wcześniejszymi skb. W efekcie dane mogły być retransmitowane w postaci jawnej (psp) lub połączenie mogło się zawieszać (tls device offload).

W jądrze Linux występuje podatność use-after-free w implementacji SCTP. Gdy asocjacja jest w stanie COOKIE-ECHOED, a zdalny peer wyśle pakiet zawierający jednocześnie chunk ERROR(Stale Cookie) i DATA z adresu niebędącego adresem podstawowym, przetwarzanie usuwa transport, na którym pakiet przyszedł, a kolejny chunk DATA ponownie rejestruje wskaźnik do tego zwolnionego transportu. Późniejsze użycie tego wiszącego wskaźnika (np. przez FWD-TSN lub opóźniony timer SACK) prowadzi do zapisu do zwolnionej pamięci.

W jądrze Linux w module openvswitch (conntrack) występuje use-after-free wynikający z realokacji rozszerzeń. Surowy wskaźnik do obszaru rozszerzeń jest podpinany do listy oczekiwań, a późniejsze dodawanie rozszerzeń może go unieważnić, co prowadzi do UAF przy usuwaniu oczekiwania.

W jądrze Linux w komponencie KVM dla architektury RISC-V występuje wyścig (race condition) podczas niszczenia maszyny wirtualnej. Wywołanie zwrotne hrtimera czyści pole next_set przed końcowym użyciem vCPU, a jeśli teardown odczyta next_set jako false w trakcie działania callbacku, funkcja kvm_riscv_vcpu_timer_cancel() pomija hrtimer_cancel() i vCPU może zostać zwolniony, zanim callback zakończy działanie. Prowadzi to do użycia po zwolnieniu pamięci (use-after-free) wykrytego przez KASAN.

Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp na poziomie cluster-admin poprzez użycie zakodowanego na stałe tokenu administratora. Atakujący mogą wysłać stały token Bearer do portu proxy gRPC bramy, aby zarządzać przestrzeniami nazw, eventbusami, użytkownikami, tokenami i powiązaniami ról oraz odczytywać lub publikować zdarzenia.

Wtyczka Conversational Forms for ChatBot (do wersji 1.5.1) jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektów. Atakujący może dostarczyć złośliwe dane, które zostaną zdeserializowane przez aplikację.

Wtyczka OttoKit (do wersji 1.1.40) ma błąd nieprawidłowego przypisania uprawnień, który pozwala na eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.